Table Of ContentKlaus-Rainer Müller
IT-Sicherheit
mit System
Integratives IT-Sicherheits-, Kontinuitäts-
und Risikomanagement – Sichere
Anwendungen – Standards und Practices
6. Auflage
IT-Sicherheit mit System
Lizenz zum Wissen.
Sichern Sie sich umfassendes Technikwissen mit Sofortzugriff auf
tausende Fachbücher und Fachzeitschriften aus den Bereichen:
Automobiltechnik, Maschinenbau, Energie + Umwelt, E-Technik,
Informatik + IT und Bauwesen.
Exklusiv für Leser von Springer-Fachbüchern: Testen Sie Springer
für Professionals 30 Tage unverbindlich. Nutzen Sie dazu im
Bestellverlauf Ihren persönlichen Aktionscode C0005406 auf
www.springerprofessional.de/buchaktion/
www.ATZonline.de
Automobiltechnische Zeitschrift
0303März 2012 | 114. Jahrgang
FFaohrrmzeouPgteinmtiweircuklnugn gin der
FLeesitcshatttee lubnredm gseeräuschoptimierte
Egleerkätruosacuhtowsahrnehmung von www.jot1-1o b|e rf2l0a1e2che.de
/W/CMT////Ü lcBIaaNVLEluTG taESeEdrRGeürViN nodIERU WNASeGuaiEttnNhotmmoonatiii veer
Jetzt
30 Tage
PWeerrskPsetkotfifvee o Lpetiicmhitebraeun issn 0001-2785 10810 Oimp tLiamcakliee rEpnreorzgeisesbilanz testen!
Springer für Professionals.
Digitale Fachbibliothek. Themen-Scout. Knowledge-Manager.
Zugriff auf tausende von Fachbüchern und Fachzeitschriften
Selektion, Komprimierung und Verknüpfung relevanter Themen
durch Fachredaktionen
Tools zur persönlichen Wissensorganisation und Vernetzung
www.entschieden-intelligenter.de
Springer für Professionals
Klaus-Rainer Müller
IT-Sicherheit mit System
Integratives IT-Sicherheits-, Kontinuitäts-
und Risikomanagement – Sichere
Anwendungen – Standards und Practices
6., erweiterte und überarbeitete Auflage
Klaus-Rainer Müller
Groß-Zimmern, Deutschland
Das vorliegende Buch wurde aus fachlicher, nicht aus juristischer Sicht geschrieben und nach
bestem Wissen und Gewissen sowie mit größter Sorgfalt erstellt und qualitätsgesichert. Weder
Autor noch Verlag können jedoch die Verantwortung oder Haftung für Schäden übernehmen, die
im Zusammenhang mit der Verwendung des vorliegenden Werkes und seiner Inhalte entstehen.
Das Buch kann eine Beratung nicht ersetzen.
Bei zitierten oder ins Deutsche übersetzten Textpassagen, die aus Originaldokumenten stammen,
gelten in Zweifelsfällen die Originaldokumente.
Die in diesem Buch angegebenen Quellen und Webseiten wurden zum Zeitpunkt ihrer Einsichtnahme
nach bestem Wissen und Gewissen sowie mit größter Sorgfalt ausgewählt. Eine Haftung, Garantie
oder Verantwortung für die in diesem Buch angegebenen Webseiten und Quellen sowie deren Inhalte
kann in keinerlei Hinsicht übernommen werden. Für Webseiten, welche aufgrund einer solchen
Angabe aufgerufen werden, wird keine Verantwortung übernommen. Dementsprechend distanziert
sich der Autor ausdrücklich von ihnen.
Der Umfang dieses Buches ist – im Gegensatz zur behandelten Thematik – begrenzt. Demzufolge
erhebt das Werk keinen Anspruch auf Vollständigkeit. Rechte Dritter wurden – soweit bekannt –
nicht verletzt.
Für in diesem Werk genannte Markennamen, Warenbezeichnungen, Gebrauchsnamen, Handelsnamen
etc. gelten, auch wenn sie falsch oder nicht als solche gekennzeichnet sind, die entsprechenden
Schutzbestimmungen und -rechte in ihrer jeweils aktuellen Fassung.
ISBN 978-3-658-22064-8 ISBN 978-3-658-22065-5 (eBook)
https://doi.org/10.1007/978-3-658-22065-5
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detail-
lierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Springer Vieweg
© Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2003, 2005, 2007, 2011, 2014, 2018
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht
ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlags.
Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die
Einspeicherung und Verarbeitung in elektronischen Systemen.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt
auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen-
und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden
dürften.
Der Verlag, die Autoren und die Herausgeber gehen davon aus, dass die Angaben und Informationen in
diesem Werk zum Zeitpunkt der Veröffentlichung vollständig und korrekt sind. Weder der Verlag noch
die Autoren oder die Herausgeber übernehmen, ausdrücklich oder implizit, Gewähr für den Inhalt des
Werkes, etwaige Fehler oder Äußerungen. Der Verlag bleibt im Hinblick auf geografische Zuordnungen und
Gebietsbezeichnungen in veröffentlichten Karten und Institutionsadressen neutral.
Springer Vieweg ist ein Imprint der eingetragenen Gesellschaft Springer Fachmedien Wiesbaden GmbH und ist
ein Teil von Springer Nature
Die Anschrift der Gesellschaft ist: Abraham-Lincoln-Str. 46, 65189 Wiesbaden, Germany
Vorwort
Welches Ziel verfolgt dieses Buch?
Sicherheit, Kontinuität und Risiken der Informationsverarbeitung müssen effizient
und geschäftszentriert gemanagt werden, um die Existenz und Zukunft eines Un-
ternehmens abzusichern. Die Bedeutung dieser Themen wächst rasant aufgrund
des dynamisch steigenden Bedrohungspotenzials und zunehmender gesetzlicher
Vorgaben wie dem IT-Sicherheitsgesetz für Betreiber kritischer Infrastrukturen,
der EURichtlinie zum Sicherheitsniveau von Netz- und Informationssystemen, der
EU-Datenschutz-Grundverordnung und der Neufassung des Bundesdatenschutz-
gesetzes sowie den buchführungsrelevanten Grundsätzen in Form der GoBD. Hin-
zu kommen branchenspezifische Gesetze und Regularien: Energieversorger müs-
sen das EnWG beachten. Strom- und Gasnetzbetreiber müssen die Mindeststan-
dards zur IT-Sicherheit erfüllen, die die Bundesnetzagentur im IT-Sicherheits-
katalog niedergelegt hat, und sich bis zum 31. Januar 2018 gemäß DIN ISO/IEC
27001 unter Berücksichtigung der DIN ISO/IEC 27002 und DIN ISO/IEC TR 27019
zertifiziert haben lassen. Im Finanzsektor gelten Basel II und Basel III sowie das
KWG, die MaRisk für Banken, die bankaufsichtlichen Anforderungen an die IT
(BAIT), das KAGB und die KAMaRisk für Kapitalverwaltungsgesellschaften sowie
WpHG und MaComp für Wertpapierdienstleistungsunternehmen. Für Zahlungen
im Internet hat die BaFin Mindestanforderungen in Form der MaSI aufgestellt. Bei
Versicherungsunternehmen ergeben sich Anforderungen aus Solvency II, dem
VAG, in das auch Anforderungen aus Solvency II eingeflossen sind, sowie aus den
MaGo und künftig aus den versicherungsaufsichtlichen Anforderungen an die IT
(VAIT). In der chemischen bzw. pharmazeutischen Industrie sind das ChemG bzw.
das AMG und die AMWHV sowie die verschiedenen Guten Praktiken zu beach-
ten. Und auch die Normung entwickelt sich in den Bereichen Sicherheit, Daten-
schutz, Kontinuität und Risiko dynamisch weiter.
Unternehmen und unser Alltag sind durchdrungen von IT und werden es immer
mehr. Begriffe wie digitale Transformation (DT, engl. DX), Digitalisierung, per-
vasive und ubiquitous computing, Internet of Things (IoT) sowie Industrie 4.0 und
das Industrial Internet of Things (IIoT), aber auch Cloud Computing und Apps
weisen darauf hin. So sind Geschäfts-, Produktions- und Fertigungsprozesse, An-
lagen und Systeme ohne IT kaum mehr denkbar, geschweige denn wettbewerbsfä-
hig. Dies macht Unternehmen jedoch zugleich verwund- und angreifbar. Ausfälle
können zu hohen Schäden führen. Ohne entsprechenden Schutz des Unterneh-
mens und seiner IT sowie ohne die erforderliche Sensibilität der Mitarbeiter und
Dienstleister können Geschäfts- und Betriebsgeheimnisse oder Angebote Mitbe-
werbern in die Hände fallen, Produktions- und Fertigungsstraßen von Angreifern
VI Vorwort
ferngesteuert, beeinträchtigt oder lahmgelegt oder auch Online-Dienste blockiert
werden.
Gleichzeitig machen sich Geheimdienste zur Spionage und Militärs für Angriffs-
szenarien das World Wide Web (WWW) zunutze. Cyberwars sind eine militärische
Option und auch Terroristen können das WWW für Angriffe nutzen. Angriffsziele
sind z. B. die vielfältigen Kritischen Infrastrukturen (KRITIS). Sie erstrecken sich
von Versorgungsunternehmen für Elektrizität, Mineralöl, Gas und Wasser über
Telekommunikations- und IT-Provider, Unternehmen aus den Branchen Finanzen,
Transport und Verkehr bis hin zum Gesundheitswesen in Form der medizinischen
Versorgung. Dass selbst bei gezielten Angriffen Kollateralschäden bewusst in Kauf
genommen werden, zeigte der Angriff mit der Schadsoftware Stuxnet auf die
Urananreicherungsanlagen im Iran. Dabei wurden hunderttausende andere In-
dustrieanlagen infiziert. Der Studie „Im Dunkeln“ von McAfee aus dem Jahr 2011
zufolge gaben etwa 40 % der Befragten und 46 % der Stromerzeuger an, Stuxnet
auf ihren Systemen gefunden zu haben.
Die weltweite Vernetzung zeigt sich auch in Lieferketten (supply chains). Unter-
brechungen können schnell zum Stillstand der Produktion oder Fertigung und
damit zu finanziellen und Reputationsschäden führen.
Deshalb ist das Sicherheits-, Kontinuitäts- und Risikomanagement – auch der IT –
für Unternehmen von existenzieller Bedeutung. Auch die Anforderungen interner
und externer Kunden steigen. Gesetzliche und aufsichtsbehördliche Vorgaben
sowie Gute Praktiken stellen zudem oftmals direkt oder indirekt Anforderungen
an die Sicherheit und Kontinuität der IT. Nationale und internationale Normen
und Practices kennzeichnen den Stand der Technik und entwickeln sich zügig
weiter wie u. a. die ISO-27000-Familie zur Informationssicherheit zeigt.
Wirtschaftliches, transparentes, durchgängiges und konsistentes Sicherheits-, Kon-
tinuitäts- und Risikomanagement sind gefordert. Dafür sind Investitionen not-
wendig, deren Umfang von der Effizienz und Effektivität des Sicherheits-, Konti-
nuitäts- und Risikomanagements abhängt.
Doch trotz der hohen Bedeutung und der Haftungsrisiken weist die Sicherheits-,
Kontinuitäts- und Risikosituation in Unternehmen häufig Defizite auf, z. B. hinsicht-
lich Zielen, Strategie, Struktur, Transparenz sowie anforderungsgerechter Umset-
zung und Effizienz. Hinzu kommt eine separate oder gering vernetzte Betrachtung
sowohl der Geschäftsprozesse als auch der IT, eine autarke Behandlung des Sicher-
heitsmanagements, des Kontinuitätsmanagements und des Risikomanagements
sowie eine Fokussierung des Sicherheits-, Kontinuitäts- und Risikomanagements auf
den IT-Betrieb. Die Integration der Sicherheit in den Lebenszyklus von Prozessen,
Ressourcen, Organisation, Produkten und Dienstleistungen erfolgt oftmals nicht
oder nur unzureichend. Der Schutz von Fertigungsstraßen und Produktionsanla-
gen, Prozessleitsystemen, Regelungs- und Steuerungssysteme sowie von Know-
how wird oft vernachlässigt.
Vorwort VII
Vor diesem Hintergrund habe ich die dreidimensionale IT- bzw. Informations-
sicherheits(management)pyramideDr.-Ing. Müller entwickelt. Sie ist top-down struktu-
riert und berücksichtigt die Prozesse, die Ressourcen, die Organisation, die Pro-
dukte und die Dienstleistungen sowie den Lebenszyklus der Informationsverarbei-
tungssysteme bzw. der IT bzw. IKT. Sie dient als durchgängiges, praxisorientier-
tes, systematisches und ingenieurmäßiges Vorgehensmodell für den Aufbau und die
Weiterentwicklung des Sicherheits-, Kontinuitäts- und Risikomanagements. In
ihren mehrdimensionalen Rahmen können Sie die unterschiedlichsten Sicherheits-,
Kontinuitäts- und Risikothematiken „einklinken”. So lassen sich Defizite reduzie-
ren oder beseitigen und die Effizienz durch Standardisierung steigern.
Zu den Abgrenzungs- und Alleinstellungsmerkmalen der Sicherheitspyramide ge-
hören
ihr dreidimensionales Vorgehensmodell, die dazu konsistente Darstellung und
Bezeichnung,
ihr hierarchisch durchgängiger Aufbau, der sich von der Sicherheits-, Kontinui-
täts- und Risikopolitik über Anforderungen, die Transformationsschicht, Merk-
male, Architektur, Richtlinien und Konzepte bis zu den Maßnahmen erstreckt,
die Vernetzung des Unternehmens, seiner Management-, Geschäfts-, Support-
und Begleitprozesse sowie der IT und anderer Ressourcen bis hin zur Organisa-
tion
die Integration des hierarchischen Aufbaus mit den Themenfeldern Prozesse,
Ressourcen, Organisation, Produkte und Dienstleistungen sowie dem Lebens-
zyklus,
die integrative Behandlung des Sicherheits-, Kontinuitäts- und Risiko- sowie
Compliance- und Datenschutzmanagements,
der PDCA-orientierte Sicherheitsmanagementprozess,
die Überwachung und Steuerung anhand des Sicherheitsregelkreises und der
Balanced Pyramid Scorecard®.
Die Sicherheitspyramide stellt ein gesamtheitliches, systematisches und dadurch
effizientes Vorgehensmodell dar, das sich an der unternehmensspezifisch gefor-
derten Sicherheit ausrichtet. Sie integriert auf innovative Weise neben den Dis-
ziplinen Sicherheits-, Kontinuitäts- und Risiko- sowie Compliance- und Daten-
schutzmanagement Kernelemente und -methodiken, die, wenn auch in unter-
schiedlicher Ausprägung, Vollständigkeit, Detaillierung, Konkretisierung und
Qualität sowie teilweise nach Erscheinen meiner Publikationen in bestehenden
Standards und Practices vorkommen.
Die 1995 vorgestellte Sicherheitspyramide [1] lässt sich für die gesamte Palette
von Sicherheitsthemen eines Unternehmens nutzen. In diesem Buch beschreibe ich
ihre Version V unter dem Fokus der – von mir oftmals synonym verwendeten –
Informations- bzw. IT- bzw. ITK-Sicherheit (IT + TK = ITK) bzw. – angelehnt an
den englischsprachigen Begriff ICT (Information and Communication Technology)
VIII Vorwort
– IKT-Sicherheit. Dementsprechend bezeichne ich sie als Informations- bzw. IT-
bzw. ITK- bzw. IKT-Sicherheits- bzw. -Sicherheitsmanagementpyramide, oder
kurz ISiPyr, ITK-/IKT-SiPyr (ISP), ISimPyr oder ISMP. Sie berücksichtigt das Si-
cherheits-, Kontinuitäts- und Risiko- sowie Compliance- und Datenschutz-
management.
Das Buch bietet Ihnen durch die Struktur der Sicherheitspyramide das notwendige
Handlungswissen, um die IKT, ihre Prozesse, Ressourcen und Organisation ent-
lang dem IKT-Lebenszyklus systematisch, anschaulich, effizient und ganzheitlich
sowohl national als auch international auf die geforderte IKT-Sicherheit auszurich-
ten. Neben den Erläuterungen illustrieren Abbildungen die Sachverhalte. Tipps
sowie Beispiele, Checklisten, Gliederungen und Tabellen aus der Beratungspraxis
beschleunigen den Einstieg. Informationen dienen der Einordnung des Gelesenen
in den Arbeits- und Wirtschaftsalltag.
Wer sollte dieses Buch lesen?
Der Titel sagt es bereits – das Buch richtet sich an Leserinnen und Leser, die sich
direkt oder indirekt mit der IT-Sicherheit bzw. dem Informationssicherheits-
management befassen, aber auch an jene, die für das Kontinuitäts-, das Risiko-
oder das Compliance Management zuständig sind:
Chief Information Security Officers (CISO) und IT-Sicherheitsbeauftragte, die
für die Sicherheit der Informations- und Kommunikationstechnologie (IKT) im
Unternehmen bzw. von Teilen davon sowie für deren zielgerichteten strategi-
schen Aufbau verantwortlich sind, sollten wissen, wie sich der Schutzbedarf
und die Bedrohungslage entwickeln, wie das Informations- bzw. IKT-
Sicherheitsmanagement in das Sicherheitsmanagement des Unternehmens in-
tegriert sein sollte, welche Zusammenhänge zwischen Sicherheits-, Kontinui-
täts-, Risiko- und Compliancemanagement sowie der IKT, den Prozessen, den
Ressourcen und der Organisation bestehen und wie sich das IKT-Sicherheits-
management ganzheitlich, systematisch, strategisch und praxisorientiert auf-
bauen und steuern lässt.
Chief Information Officers (CIO) sowie IT-Verantwortliche, die für die IKT so-
wie für deren Sicherheit verantwortlich sind, sollten wissen, mit welchem Vor-
gehensmodell das Sicherheitsmanagement aufgebaut, gesteuert und weiter-
entwickelt werden kann.
Notfallmanager, die für die Notfall-, Krisen- und Katastrophenvorsorge (NKK)
des Unternehmens insgesamt oder nur für die IKT verantwortlich sind, sollten
wissen, wie die NKK-Planung zielgerichtet aufgebaut und weiterentwickelt
werden kann.
Sicherheitsauditoren, welche die IKT-Sicherheit im Unternehmen prüfen und
Handlungsempfehlungen geben, sollten wissen, wie diese Prüfungen in das Si-
Vorwort IX
cherheitsmanagement eingebettet sind, wie sie durchgeführt werden können
und wie die Zielkonstellation eines Sicherheitsmanagements aussehen sollte.
Chief Risk Officer (CRO) und Risikomanager, die für das Risikomanagement
im Unternehmen verantwortlich sind, sollten wissen, wie sich dieses anhand
der Sicherheits-, der Kontinuitäts- bzw. der Risiko(management)pyramide
strukturieren lässt und welche Verbindungsstellen es zwischen dem Risiko-
sowie dem Sicherheits- und Kontinuitätsmanagement gibt.
Chief Compliance Officers (CCO) sollten die gesetzlichen und aufsichtsbehörd-
lichen Anforderungen kennen, deren Einhaltung einfordern, verfolgen und
steuern sowie die Anforderungen an das Sicherheits-, Kontinuitäts- und Risiko-
management kennen.
Leiter Organisation oder Verwaltung sowie Bereichsleiter, die für Geschäfts-
prozesse bzw. Organisationseinheiten verantwortlich sind und die Informa-
tionsverarbeitung zur Unterstützung ihrer Geschäftsprozesse nutzen, sollten
wissen, wie sie ihre Sicherheitsanforderungen – einschließlich derer an die IKT
– erheben und an den Geschäftsbereich IKT-Services weitergeben können.
Vorstände und Geschäftsführer, die für die Sicherheit, die Geschäftskontinuität
und das Risikomanagement im Unternehmen verantwortlich sind, sollten die
Entwicklung der Bedrohungslage, die gesetzlichen Rahmenbedingungen und
ihre persönlichen Haftungsrisiken kennen und wissen, wie das Sicherheits-
management durch Sicherheitspolitik, Sicherheitspyramide und Sicherheits-
regelkreis zielgerichtet und effizienzorientiert gesteuert werden kann. Auch
Aufsichtsräte sollten ihre Haftungsrisiken kennen.
Wie können Sie dieses Buch nutzen?
Sie können das Buch komplett oder auch nur einzelne Kapitel lesen. Wer es insge-
samt liest, kann sich einen Überblick über Trends bei Bedrohungen und Schutzbe-
darf sowie häufige Schwachstellen verschaffen. Gleichzeitig findet er eine systema-
tische, durchgängige und ganzheitliche Vorgehensweise zum Aufbau eines ge-
schäftszentrierten Sicherheits-, Kontinuitäts- und Risiko- sowie Compliance- und
Datenschutzmanagements für die IKT anhand der dreidimensionalen Sicherheits-
pyramideDr.-Ing. Müller, ferner weitere von mir entwickelte Begrifflichkeiten und Me-
thoden sowie Beispiele und Checklisten.
Alternativ können sich die Leserin oder der Leser ihrem Wissensbedarf entspre-
chend einzelnen Kapiteln zuwenden, beispielsweise dem Thema Sicherheits-, Kon-
tinuitäts- und Risikopolitik, sicherheitsbezogene Anforderungen und Schutzbe-
darfsanalyse sowie Geschäftseinflussanalyse (Business Impact Analysis), Sicher-
heitsmerkmale, Sicherheitsarchitektur mit prinzipiellen Bedrohungen und Sicher-
heitsprinzipien sowie dem Sicherheitsschalenmodell und Sicherheitselementen für
Prozesse, Ressourcen und Organisation, Richtlinien, Konzepte und Lebenszyklus,
